Około 30 000 przedsiębiorstw w Niemczech musi spełnić wymogi ustawy o wdrożeniu dyrektywy NIS-2. Kary pieniężne mogą sięgać nawet 10 milionów euro lub 2 procent rocznego obrotu. Ponadto kierownictwo ponosi osobistą odpowiedzialność za zaniedbania wynikające z niedbalstwa – odpowiedzialności tej nie można przekazać innym osobom.

§ 30 BSIG (ustawa o BSI) określa dziesięć obszarów działania, które musi uwzględnić każda objęta przepisami instytucja: analiza ryzyka i bezpieczeństwo IT, reagowanie na incydenty bezpieczeństwa, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w zakresie zakupów i rozwoju, ocena skuteczności, cyberhigiena i szkolenia, kryptografia i szyfrowanie, bezpieczeństwo personelu oraz uwierzytelnianie wieloskładnikowe.

W przypadku poważnych incydentów związanych z bezpieczeństwem § 32 BSIG wymaga stopniowego zgłaszania ich do BSI – od momentu, w którym incydent zostanie wykryty: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie incydentu w ciągu 72 godzin, a raport końcowy najpóźniej po upływie miesiąca. Kto nie ustanowił tego procesu wcześniej, nie będzie w stanie go zorganizować w sytuacji kryzysowej.

Chociaż ustawa nie wymienia terminu „ISMS” (system zarządzania bezpieczeństwem informacji), to jednak w § 30 ust. 2 BSIG wymaga właśnie jego elementów składowych: analizy ryzyka, koncepcji bezpieczeństwa, kultury bezpieczeństwa wprowadzanej w życie poprzez szkolenia uświadamiające oraz bieżącej kontroli skuteczności poprzez audyty lub testy penetracyjne. Każdy, kto wdraża system ISMS zgodny z normą ISO/IEC 27001 lub standardem BSI IT-Grundschutz, spełnia od 80 do 90 procent wymaganych podstawowych wymogów.